nexsight cyber intelligence / signal online wire desk · issue 617
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

規制・コンプライアンス / COMPLIANCE / PRIVACY

改正個人情報保護法の政令・規則・ガイドライン整備、個人情報保護委員会が今後の進め方を決定

個人情報保護委員会は2026年9月9日の第368回会合で、改正個人情報保護法の政令・規則・ガイドライン等の整備に関する今後の進め方を決定した。2026年9月中旬から10月中旬にかけて「基本的な考え方」を3回に分けて議論し、個人の立場・事業者の立場の団体との意見交換を経て、条文案の議論とパブリックコメント（意見公募手続）へ進む。

規制・コンプライアンス NEXSIGHT CYBER WIRE 編集部 5–6 min read

要点

  • 個人情報保護委員会は2026年9月9日、第368回会合で「個人情報の保護に関する法律等の一部を改正する法律　政令・規則・ガイドライン等の整備に関する今後の進め方について」を決定したと公表した。改正法の施行に向けたルールづくりの手順と当面の日程が示されたことになる。
  • 改正法は2026年（令和8年）4月7日に第221回国会（特別会）へ提出され、7月10日に可決・成立、7月17日に公布された。委員会は「個人情報取扱事業者及び行政機関等が適切に対応できるよう準備期間を設ける観点」から、関係する政令・委員会規則・ガイドライン等の整備に迅速に取り組むとしている。
  • 委員会は「基本的な考え方」を9月中旬から10月中旬にかけて3回に分けて議論し、並行して個人の立場の団体・事業者の立場の団体との意見交換会と事務局ヒアリングを実施する。その後、政令・規則等で定める具体的内容と条文案を議論し、意見公募手続（パブリックコメント）を開始する流れだ。
  • 政令・規則等で定める事項には、統計作成等の特例（AI開発等を含む）、子供の個人情報、顔特徴データ等、委託先における個人データ等の取扱い、漏えい等報告・本人通知義務の緩和、オプトアウト制度の強化、課徴金の導入などが含まれる。

9月9日の決定が示した整備の進め方

個人情報保護委員会は2026年9月9日の第368回会合で、改正法の政令・規則・ガイドライン等の整備に関する今後の進め方を決定した。委員会はこの決定で、改正法の4つの分類（適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保のための規律）とテーマごとに、政令・規則等で定める内容について基本的な考え方を提示して議論するとしている。

委員会はこの議論と並行して、多様な個人の立場から意見を伺う団体と、事業者の立場から意見を伺う団体との意見交換会を実施する。資料には参加する団体として、個人側では一般社団法人ECネットワーク、一般社団法人Consumer Rights Japan、一般社団法人全国消費者団体連絡会、一般社団法人日本若者協議会、一般社団法人Privacy by Design Lab、一般社団法人MyDataJapan、公益社団法人全国消費生活相談員協会、サステナビリティ消費者会議、主婦連合会の9団体が挙げられている。

事業者側では、一般社団法人新経済連盟、一般社団法人データ社会推進協議会、一般社団法人電子情報技術産業協会、一般社団法人日本IT団体連盟、一般社団法人日本経済団体連合会、在日米国商工会議所、Business Software Alliance、プライバシーテック協会の8団体が名を連ねる。委員会は双方の立場が互いの会合にオブザーバーとして参加できる形にし、事務局によるヒアリングも立場を混在させて実施したうえで、議事概要を委員会に報告して公表するとしている。

9月中旬から10月中旬に3回の「基本的な考え方」、その後パブリックコメントへ

資料に示された当面のスケジュールでは、2026年8月26日の第366回会合で「政令・規則等で定める事項の全体像」を決め、9月9日の第368回会合で意見交換会と事務局ヒアリングの概要を示したことが整理されている。そのうえで、9月中旬に「基本的な考え方①」として子供、顔特徴データ、本人関与に関する規律、漏えい等を、9月下旬から10月上旬に「基本的な考え方②」として統計作成等、委託先、オプトアウトを、10月中旬に「基本的な考え方③」として連絡可能個人関連情報、課徴金をそれぞれ議論する予定だ。

委員会は、意見交換会や事務局ヒアリングの内容を踏まえて政令・規則等の具体的内容を提示・議論した後、条文案を提示して議論し、その後で意見公募手続（パブリックコメント）を開始するとしている。工程表ではパブリックコメントの欄が2026年12月から2027年1月以降の時期に置かれており、委員会は2027年1月以降も随時開催される予定だ。

改正個人情報保護法の政令・規則・ガイドライン等の整備に関する当面のスケジュール（出典: 個人情報保護委員会）
個人情報保護委員会が2026年9月9日に決定した資料に示された「当面のスケジュールのイメージ」。（原典（個人情報保護委員会））

政令・規則等で定める事項の全体像

2026年8月26日に決定された「政令・規則等で定める事項の全体像」は、整備が必要な主な項目を改正法の4つの分類ごとに整理している。内容は次のとおりだ。

  • 適正なデータ利活用の推進: 統計作成等の特例について、AI開発等のうち個人の権利利益を害するおそれが少ないものを政令で規定する。取得の状況からみて本人の意思に反せず権利利益を害しないことが明らかな場合には本人同意を不要とする規律や、生命等の保護・公衆衛生の向上等のために個人情報を取り扱う場合の同意取得困難性要件の緩和、学術研究例外の対象に医療の提供を目的とする機関等を含める明示も盛り込む。
  • リスクに適切に対応した規律: 16歳未満の者が本人である場合に同意取得や通知の対象を法定代理人とすることの明文化、当該本人の保有個人データの利用停止請求要件の緩和、未成年者の個人情報等について本人の最善の利益を優先して考慮する責務規定を扱う。顔特徴データ等については一定事項の周知の義務化、利用停止等請求要件の緩和、オプトアウト制度に基づく第三者提供の禁止を定める。委託先における個人データ等の適正な取扱いについても義務を見直す。
  • 不適正利用等防止: 個人情報ではないものの特定の個人への働きかけが可能な「連絡可能個人関連情報」について、不適正利用と不正取得を禁止する。オプトアウト制度では、提供先の身元と利用目的の確認を義務化する。
  • 規律遵守の実効性確保のための規律: 違反行為を補助等する第三者に対して中止のために必要な措置を要請する根拠規定を設けるほか、重大な違反行為により個人の権利利益が侵害された場合等に、違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命じられるようにする。課徴金額の算定方法や減額のための報告の方法なども政令・規則で定める。

あわせて、委員会は「個人情報の保護に関する基本方針（平成16年4月2日閣議決定）」についても必要な見直しを行うとしている。

漏えい等報告・本人通知の緩和も整備対象

企業の実務に影響しやすい項目として、漏えい等報告と本人通知義務の緩和がある。全体像では、漏えい等が発生した場合に本人の権利利益を害するおそれが少ないときは本人への通知義務を緩和すること、一定の範囲で速報を免除し一定期間ごとに取りまとめた確報を認めること、違法な個人データの第三者提供も報告対象の事態とすることなどが、政令・委員会規則で規定する事項として挙げられている。

委員会は改正法の施行までの準備期間を設ける観点から整備を急ぐ方針を示しており、今後は9月中旬以降に順次示される「基本的な考え方」と、その後に行われるパブリックコメントが、企業が自社の対応を検討する際の一次情報になる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。